Я тоже недавно начал смотреть в сторону уязвимостей и понял, что без нормальных ресурсов быстро заблудиться. Использую CVE для поиска известных багов и иногда поглядываю OWASP, чтобы ориентироваться в типах слабых мест. Инструменты вроде Burp Suite пока пробую для тестов – помогает понять, как всё работает, без особого заморочивания. Главное — не пытаться всё сразу, а постепенно разбираться.